CentOS7 vsftpd配置匿名用户上传文件权限：从0到1的完整踩坑记录
凌晨三点，机房空调嗡嗡作响，我盯着屏幕上的“550 Permission denied”，心里一万只羊驼狂奔。就为了能让匿名用户把那个不到2M的补丁包扔进来，我已经把CentOS7 vsftpd配置匿名用户上传文件权限这条弯路走了三遍。现在把血与泪打包成这份笔记，谁再踩坑，直接甩他脸上。
先别急着改配置，看看vsftpd到底在怕什么
很多人一上来就chmod 777，结果vsftpd依旧高冷。它真正卡的是三道关：
1. 文件系统权限：匿名用户的落脚点/var/ftp/pub，上层目录/var/ftp必须是755，且属主为root，否则vsftpd直接拒绝。
2. SELinux上下文：目录没拿到public_content_rw_t标签，写操作一律被内核拦下。
3. vsftpd自身开关：配置里没开anon_upload_enable=YES，前面两步全白搭。
把这三关画成思维导图贴显示器边，比任何口诀都管用。
五分钟极简实验：让匿名用户先能扔文件
实验机最小化安装的CentOS7，关掉防火墙（生产环境请用防火墙规则精确放行），SELinux先setenforce 0验证思路，再补上下文。
步骤1：给目录放权
mkdir -p /var/ftp/pub/upload
chown ftp:ftp /var/ftp/pub/upload
chmod 730 /var/ftp/pub/upload
730这个权限很贼：匿名用户ftp只能写不能读，防止别人下载你刚传上来的私货。
步骤2：改/etc/vsftpd/vsftpd.conf，只留四行关键：
anonymous_enable=YES
anon_upload_enable=YES
anon_mkdir_write_enable=YES
no_anon_password=YES
别的先别动，越精简越不容易翻车。
步骤3：重启服务
systemctl restart vsftpd
打开另一台机子：
ftp //your_ip
Name: ftp
Password: <直接回车>
ftp> cd pub/upload
ftp> put test.txt
看到“226 Transfer complete”，第一阶段胜利。此时文件躺在服务器里，匿名用户自己却列不出来，730权限起作用了。
SELinux重新开 strict 模式：一条命令补标签
实验完记得setenforce 1，否则甲方爸爸会翻脸。让目录拿到写标签：
semanage fcontext -a -t public_content_rw_t "/var/ftp/pub/upload(/.*)?"
restorecon -Rv /var/ftp/pub/upload
setsebool -P allow_ftpd_anon_write 1
三条命令缺一不可，尤其allow_ftpd_anon_write布尔值，默认是off，vsftpd日志里只会给你一句含糊的“500 OOPS”，不查布尔值能把人逼疯。
匿名用户上传文件后的“黑箱”处理套路
文件传上来只是起点，多数场景还要：
1. 病毒扫描：用clamd扫一遍，脚本自动挪到正式目录。
2. 重命名：时间戳+随机数，防止同名覆盖。
3. 通知业务：inotifywait监控upload目录，有close_write事件就发MQ。
整套流程写成systemd服务，开机自启，比人工mv靠谱一万倍。
最常被忽略的“隐形炸弹”
1. 磁盘配额：匿名用户默认走ftp账号的配额，/home/ftp若单独分区，记得xfs_quota。
2. vsftpd版本差异：CentOS7.6以后引入seccomp_sandbox=YES，老旧脚本调用rename可能被杀，日志却一句不提。
3. 并发冲突：多个客户端同时写同名文件，vsftpd不会加锁，最后一份覆盖前面，业务必须自己做校验。
一张图总结：CentOS7 vsftpd配置匿名用户上传文件权限检查表
画成表格贴机柜门，运维交班扫一眼：
| 检查项 | 命令 | 期望结果 |
|---|---|---|
| 目录权限 | ls -ld /var/ftp/pub/upload | 730 ftp ftp |
| SELinux标签 | ls -Z /var/ftp/pub/upload | public_content_rw_t |
| 布尔值 | getsebool allow_ftpd_anon_write | on |
| 配置开关 | grep anon_upload_enable /etc/vsftpd/vsftpd.conf | YES |
任何一步不对，直接回退重来，比线上救火轻松。
匿名上传≠匿名下载：如何彻底隔离读写
有些合规场景要求“只能写不能看”。除了730权限，再加一层：
mount -o bind /var/ftp/pub/upload /var/ftp/pub/hidden
umount /var/ftp/pub/hidden
用bind挂载把upload挂到隐藏路径，匿名用户cd不进去，却不妨碍ftp协议put文件，实现“黑洞式”上传。
日志里没报错，客户端却总被弹回？
vsftpd的日志拆分成了/var/log/xferlog和/var/log/vsftpd.log，前者只记录传输，后者才记录权限拒绝。被弹回时先看：
tail -f /var/log/vsftpd.log | grep -i deny
如果看到“response: 550”却没有任何deny字样，八成是SELinux，别在vsftpd.conf里瞎折腾。
把整套流程写成Ansible Playbook，下次10分钟交付
生产环境谁还手动敲命令？一份playbook，换个IP就能用：
- hosts: ftp
tasks:
- name: ensure upload dir
file: path=/var/ftp/pub/upload state=directory owner=ftp group=ftp mode=0730
- name: selinux label
sefcontext: target='/var/ftp/pub/upload(/.*)?' setype=public_content_rw_t state=present
- name: restorecon
command: restorecon -Rv /var/ftp/pub/upload
- name: boolean
seboolean: name=allow_ftpd_anon_write state=yes persistent=yes
- name: template vsftpd.conf
template: src=vsftpd.j2 dest=/etc/vsftpd/vsftpd.conf
notify: restart vsftpd
handlers:
- name: restart vsftpd
service: name=vsftpd state=restarted
模板里只放那四行关键配置，多余的一律删除，越简单越不会踩雷。
机房空调已经切换成静音模式，屏幕上的“226 Transfer complete”像凌晨四点最亮的星。CentOS7 vsftpd配置匿名用户上传文件权限这条弯路，我替你走完了，下次你再遇到550，直接翻出这份笔记，十分钟搞定，剩下的时间喝杯热咖啡，看窗外天慢慢亮。
